CVE-2026-75483
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
powerlevel10k nie neutralizuje znaków kontrolnych w polu wersji package.json podczas renderowania segmentu wiersza poleceń. Atakujący mogą wstrzyknąć surowe bajty escape w ciąg wersji, aby emitować dowolne sekwencje sterujące terminala przy każdym renderowaniu wiersza, gdy powłoka wejdzie do dotkniętych katalogów.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania dowolnych sekwencji sterujących terminala, co może prowadzić do oszustw wizualnych, przechwycenia danych lub innych złośliwych działań w sesji terminala.
Rekomendacja
Zaleca się aktualizację powerlevel10k do wersji z poprawką oraz unikanie otwierania katalogów z niezaufanymi plikami package.json.
Oryginalny opis (angielski, źródło NVD)
powerlevel10k fails to neutralize control characters in the package.json version field when rendering the package prompt segment. Attackers can inject raw escape bytes in the version string to emit arbitrary terminal control sequences on each prompt render when the shell enters affected directories.